🥇Schwachstelle in NPM, die es ermöglicht, beliebige Dateien bei der Installation eines Pakets zu ändern

In der Aktualisierung des Paketmanagers NPM 6.13.4, der mit Node.js geliefert wird und zur Verbreitung von Modulen in JavaScript verwendet wird, behebt drei Schwachstellen (CVE-2019-16775, CVE-2019-16776 und CVE-2019-16777), die es ermöglichen, beliebige Systemdateien bei der Installation eines vom Angreifer vorbereiteten Pakets zu modifizieren oder zu überschreiben. Als Umgehung des Schutzes kann die Installation mit der Option „—ignore-scripts“ erfolgen, die die Ausführung integrierter Paket-Handler verbietet. Die Entwickler von NPM haben die Pakete im Repository analysiert und keine Hinweise auf die Nutzung der identifizierten Probleme für Angriffe gefunden.

CVE-2019-16777 zeigt sich in Versionen vor 6.13.4 und ermöglicht das Überschreiben von systemweiten ausführbaren Dateien während der globalen Installation eines Pakets. Nur Dateien im Zielverzeichnis, in das die ausführbaren Dateien installiert werden (gewöhnlich /usr/local/bin), können ersetzt werden.

CVE-2019-16775 und CVE-2019-16776 zeigen sich in Versionen vor 6.13.3 und ermöglichen das Schreiben beliebiger Dateien durch das Erstellen eines symbolischen Links auf Dateien außerhalb des Modulkatalogs (node_modules) oder durch Manipulationen mit dem Feld bin in package.json (im Feld bin war die Verwendung von Pfaden mit „/../“ zulässig).

Quelle: opennet.ru

Kubernetes – ist das das neue Linux? Ein Interview mit Pawel Selivanov